besoin d'aide pour analyse highjackthis Fermé

Question

Bonjour, 

Depuis quelques jours je subis les ouvertures intempestives d'onglets (rencontres , securité) lorsque je surfe. Norton,Kaspersky, ad aware n'ont rien trouvé. 
J'ai tenté une analyse avec highjackthis, mais je ne sais pas trop quoi en faire de cet étrange écrit. 
Si une ame charitable veut bien m'aider ...J'ai tout tenté pour ne pas etre un boulet (trois jours que je parcours ce forum) mais là j'ai trouvé mon mur de Plank. 
D'avance merci... 
Logfile of Trend Micro HijackThis v2.0.2 
Scan saved at 17:56:26, on 08/07/2008 
Platform: Windows Vista SP1 (WinNT 6.00.1905) 
MSIE: Internet Explorer v7.00 (7.00.6001.18000) 
Boot mode: Normal 

Running processes: 
C:\Windows\system32\Dwm.exe 
C:\Windows\system32	askeng.exe 
C:\Windows\Explorer.EXE 
C:\Program Files\Windows Defender\MSASCui.exe 
C:\Windows\RtHDVCpl.exe 
C:\Acer\Empowering Technology\eDataSecurity\eDSLoader.exe 
C:\Windows\BR040286.exe 
C:\Program Files\Acer Arcade Deluxe\Play Movie\PMVService.exe 
C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe 
C:\Program Files\Apoint2K\Apoint.exe 
C:\Acer\Empowering Technology\eAudio\eAudio.exe 
C:\Program Files\Java\jre1.6.0_06\bin\jusched.exe 
C:\Program Files\Common Files\Real\Update_OBealsched.exe 
C:\Windows\System32undll32.exe 
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe 
C:\Windows\ehome\ehtray.exe 
C:\Program Files\Windows Media Player\wmpnscfg.exe 
C:\Users\Les loulous\AppData\Local\eomko.exe 
C:\Windows\System32undll32.exe 
C:\Windows\ehome\ehmsas.exe 
C:\Users\LESLOU~1\AppData\Local\Temp\RtkBtMnt.exe 
C:\Acer\Empowering Technology\EPOWER\EPOWER_DMC.EXE 
C:\Acer\Empowering Technology\ACER.EMPOWERING.FRAMEWORK.SUPERVISOR.EXE 
C:\Program Files\Apoint2K\Apntex.exe 
C:\Program Files\eMule\emule.exe 
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe 
C:\Program Files\Internet Explorer\ieuser.exe 
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLLoginProxy.exe 
C:\Users\Les loulous\Desktop\HiJackThis.exe 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.lequipe.fr/ 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/ 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://actus.sfr.fr 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/ 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://actus.sfr.fr 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file) 
O1 - Hosts: ::1 localhost 
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll 
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\ievkbd.dll 
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll 
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) 
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll 
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Windows\system32\eDStoolbar.dll 
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide 
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe 
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe 
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe 
O4 - HKLM\..\Run: [ALaunch] C:\Acer\ALaunch\AlaunchClient.exe 
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe 
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe 
O4 - HKLM\..\Run: [BisonInst0402] C:\Windows\BR040286.exe 
O4 - HKLM\..\Run: [PlayMovie] "C:\Program Files\Acer Arcade Deluxe\Play Movie\PMVService.exe" 
O4 - HKLM\..\Run: [IAAnotif] "C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe" 
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe 
O4 - HKLM\..\Run: [Acer Tour Reminder] C:\Acer\AcerTour\Reminder.exe 
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Acer\WR_PopUp\WarReg_PopUp.exe 
O4 - HKLM\..\Run: [SetPanel] C:\Acer\APanel\APanel.cmd 
O4 - HKLM\..\Run: [eAudio] "C:\Acer\Empowering Technology\eAudio\eAudio.exe" 
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_06\bin\jusched.exe" 
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" 
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OBealsched.exe" -osboot 
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart 
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup 
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit 
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe" 
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" 
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe 
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe 
O4 - HKCU\..\Run: [eomko] c:\users\les loulous\appdata\local\eomko.exe eomko 
O4 - Startup: GigaTribe.lnk = C:\Program Files\GigaTribe\gigatribe.exe 
O4 - Global Startup: Empowering Technology Launcher.lnk = ? 
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000 
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll 
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll 
O9 - Extra button: Statistiques de la protection du trafic Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\SCIEPlgn.dll 
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll 
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll 
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files\PokerStars\PokerStarsUpdate.exe 
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL 
O13 - Gopher Prefix: 
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://dl8-cdn-01.sun.com/ 
O16 - DPF: {D821DC4A-0814-435E-9820-661C543A4679} (CRLDownloadWrapper Class) - http://drmlicense.one.microsoft.com/crlupdate/en/crlocx.ocx 
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll 
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe 
O23 - Service: ALaunch Service (ALaunchService) - Unknown owner - C:\Acer\ALaunch\ALaunchSvc.exe 
O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe 
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe 
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (file missing) 
O23 - Service: eDSService.exe (eDataSecurity Service) - HiTRSUT - C:\Acer\Empowering Technology\eDataSecurity\eDSService.exe 
O23 - Service: eLock Service (eLockService) - Acer Inc. - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe 
O23 - Service: eRecovery Service (eRecoveryService) - Acer Inc. - C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe 
O23 - Service: eSettings Service (eSettingsService) - Unknown owner - C:\Acer\Empowering Technology\eSettings\Service\capuserv.exe 
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe 
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe 
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe 
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe 
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE 
O23 - Service: MobilityService - Unknown owner - C:\Acer\Mobility Center\MobilityService.exe 
O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe 
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe 
O23 - Service: ePower Service (WMIService) - acer - C:\Acer\Empowering Technology\ePower\ePowerSvc.exe 
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe 
End of file - 9488 bytes

raphy00 · Answer

Salut,

Nouveaux onglets, fenetres, securite ==

Télécharge Lop S&D.exe sur ton Bureau.

https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/LopSD.exe?attachauth=ANoY7co3ntqUavpZ3q1BG-h4pc13vqDZmhcNeEPChtsyrgAykRbhE8bZzhk979EfQD4AgwtQUHCaQ7ZQwNYMo3_0kA8htAspckDJtu2K5t6J9z6dLW4fpZyH4FpFL1tVMBZ8H-KnN7afZ5vt-WxZRpnynk-a0XmV_Y0C0q6DxGEDKie1TnPT7gFoZnoCnspzBmbW6ZzxA4fNr3oEDlbelNZON-LjF8nOmQ%3D%3D&attredirects=2 

* Double-clique dessus pour lancer l'installation. 
* Puis double-clique sur le raccourci Lop S&D présent sur ton Bureau. 
* Séléctionne la langue souhaitée , puis choisis l'option 1 (Recherche) 
* Patiente jusqu'à la fin du scan 
* Poste le rapport généré (C:\lopR.txt) 

(Si le Bureau ne réapparaît pas, presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide)

Et apres:

 Telecharges malwares bytes anti malwares : 

Malwarebytes Anti-Malware: http://www.malwarebytes.org/mbam/program/mbam-setup.exe

Tutoriel Malwarebytes Anti-Malware: https://forum.pcastuces.com/malwarebytes_antimalwares___tutoriel-f31s3.htm

Si des elements on ete trouvés > click sur supprimer la selection. 

si il t´es demandé de redemarrer > click sur "yes". 

Fais un scan complet et postes le rapport.

raphy00 · Answer

Re,

Navipromo.. (( En plus de vundo.. C'est pas gagne ))

================NAVILOG==================== 

Télécharge ceci http://il.mafioso.pagesperso-orange.fr/Navifix/download.htm 

prend navilog1.exe 

Choisir option 1 uniquement 

Ensuite suit ce tutorial :https://www.commentcamarche.net/list 2490 popups ouverture de fenetres internet publicitaires pop up#premiere methode utiliser navilog d il mafioso sous xp 

Et enfin post le rapport du scan navilog

raphy00 · Answer

Ok

Tu passes juste navilog ++ rapport.

raphy00 · Answer

Re,

Bon tant pis..
Allez on va recurer en profondeur.

Télécharge combofix (par sUBs) ici : 

http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

et enregistre le sous le nom de antibagle sur le Bureau (donne lui ce nom avant qu'il soit enregistré sur le disque dur sinon, ça ne fonctionnera pas). 

déconnecte toi d'internet et ferme toutes tes applications. 

désactive tes protections (antivirus, parefeu, garde en temps réel de l'antispyware) 


double-clique sur combofix.exe et suis les instructions 

à la fin, il va produire un rapport C:\ComboFix.txt 

réactive ton parefeu, ton antivirus, la garde de ton antispyware 

copie/colle le rapport C:\ComboFix.txt dans ta prochaine réponse. 

Attention, n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi. 

Tu as un tutoriel complet ici : 

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

green day · Answer

Salut

est-ce que tu arrives à télécharger quelque chose ?

++

green day · Answer

essaye en mode sans échec !

++

zizekkk · Answer

Effectivement , ca marche en mode sans echec.
J'ai pu faire le scan navilog. Le voici:

Search Navipromo version 3.6.0 commencé le 10/07/2008 à 12:29:18,23

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!
!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files
avilog1
Session actuelle : "Les loulous" 

Mise à jour le 27.06.2008 à 23h00 par IL-MAFIOSO

Microsoft Windows Vista 6.0.6001 
Internet Explorer : 7.0.6001.18000 
Système de fichiers : NTFS

Recherche executé en mode sans échec

*** Recherche Programmes installés ***


*** Recherche dossiers dans "C:\Windows" ***


*** Recherche dossiers dans "C:\Program Files" ***


*** Recherche dossiers dans "C:\ProgramData" ***


*** Recherche dossiers dans "c:\progra~2\micros~1\windows\startm~1\programs" ***


*** Recherche dossiers dans "c:\users\leslou~1\appdataoaming\micros~1\windows\startm~1\programs" ***


*** Recherche dossiers dans "C:\Users\Les loulous\AppData\Local\virtualstore\Program Files" ***


*** Recherche dossiers dans "C:\Users\Les loulous\AppData\Roaming" ***

*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net

Aucun Fichier trouvé


*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:\Windows\system32" *

* Recherche dans "C:\Users\Les loulous\AppData\Local\Microsoft" *

* Recherche dans "C:\Users\Les loulous\AppData\Local\virtualstore\windows\system32" *

* Recherche dans "C:\Users\Les loulous\AppData\Local" *

Fichiers trouvés :

eomko.exe trouvé ! 
eomko.dat trouvé ! 
eomko_nav.dat trouvé ! 
eomko_navps.dat trouvé ! 



*** Recherche fichiers *** 



*** Recherche clés spécifiques dans le Registre ***


*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :


2)Recherche Heuristique :

* Dans "C:\Windows\system32" :


* Dans "C:\Users\Les loulous\AppData\Local\Microsoft" :


* Dans "C:\Users\Les loulous\AppData\Local\virtualstore\windows\system32" :


* Dans "C:\Users\Les loulous\AppData\Local" :

eomko.dat trouvé !
eomko_nav.dat trouvé !
eomko_navps.dat trouvé !

3)Recherche Certificats :

Certificat Egroup trouvé !
Certificat Electronic-Group trouvé !
Certificat OOO-Favorit trouvé !
Certificat Sunny-Day-Design-Ltd absent !

4)Recherche fichiers connus :



*** Analyse terminée le 10/07/2008 à 12:38:34,05 ***

raphy00 · Answer

Salut,

Vraiment desole du retard, je suis contrit.
1.Green day : Merci beaucoup pour le coup de main, c'est super sympa ! Si ca t'arrange ( peut etre occupee), je reprends. Peux tu nous suivre ? Parce qu'on sait jamais hein..

2.zizekk : Tu peux passer l'option 2 et reposter un hijackthis stp ?

Merci !

pasdupe · Answer

pas beaucoup d'ordre dans la methode!!!
1:on commence par un nettoyage avec ccleaner
2:desinstalle tes antiveroles(surtout norton et kaspersky...inefficaces!)
3:supprime quelques entrées au demarage(t'en a un paquet apparement!)
4:redemare ton pc
5:refait un nettoyage ccleaner plus reparation des erreurs de registre
6:faire un scan en mode sans echecs avec malwarebyte en ayant pris soin de faire la mise a jour
7:redemare apres le scan pour l'eliminination complete et refait un scan,jusqu'a ce que malwarebyte ne trouve plus rien
8:installe antivir et spybot et fait un scan de chaque pour finir de nettoyer
9:un dernier p'tit coup de ccleaner...
10:une petite defrag
methode tres efficace si faite dans l'ordre.si vous voulez vraiment aider les gens les gars,ce qui serait bien c'est par exemple de leur dire ou dans leur rapport hijack il y a des problemes,quelle lignes etc...pas un le fait?
il faut etre prudent avec les neophytes aussi,l'utilisation de certains programmes sont dangereux comme navilog,combofix,smithfraud etc...

pasdupe · Answer

ben monsieur raphyoo est sur plusieur post en meme temps et fait le meme genre de conseils...c'est bien beau de dire aux gens de poster des rapport hijack,mais aucun te dit quelles lignes suggerent une infection ou un probleme....je t'ai laissé quelques conseils suit les tu verras bien...

pasdupe · Answer

ok....tient nous au courant

Utilisateur anonyme · Answer

Bonjours,

"une référence a été renvoyée par le serveur")

ça sent le bagle ........

@++

PS : kikou greenette

Utilisateur anonyme · Answer

meme message sur ce topic :

http://www.commentcamarche.net/forum/affich 7407808 w32 beagle mm trojan tooso fixtool 1 13 0

Utilisateur anonyme · Answer

-;)

Besoin d'aide pour analyse highjackthis

14 réponses

Discussions similaires